Tato stránka je určena podnikům poskytujícím cloudové služby (IaaS, PaaS, SaaS) se signifikantním podílem zákazníků v EU, které zákon č. 264/2025 Sb. o kybernetické bezpečnosti (ZoKB) klasifikuje jako subjekty Přílohy I. Naučíte se konkrétní povinnosti, lhůty pro implementaci a jak se vyhnout pokutám až 10 milionů EUR.
Mezi subjekty podléhající NIS2 v sektoru cloudových služeb patří všichni poskytovatelé IaaS, PaaS a SaaS, kteří: (1) poskytují služby podstatného počtu podnikatelských subjektů nebo veřejné správy v EU, (2) disponují infrastrukturou v EU nebo mají přímý vliv na bezpečnost EU. Zahrnuje jednak globální poskytovatele (Amazon Web Services, Microsoft Azure, Google Cloud), tak regionální hráče; malé poskytovatele, kteří nejsou na seznamu NÚKIB, se mohou kvalifikovat jako důležité subjekty v závislosti na rozsahu služeb.
Každý poskytovatel cloudových služeb zařazený do Přílohy I, který byl v působnosti zákona k 1. 11. 2025, měl do 31. prosince 2025 provést registraci u NÚKIB a podrobit se sebeevaluaci podle kritérií NIS2; nové subjekty se registrují průběžně do 60 dnů. Sebeevaluace musí obsahovat inventár poskytovaných služeb, seznam zákazníků v EU, technickou architekturu a existující opatření bezpečnosti. Tato sebeevaluace tvoří základ pro následný dohled NÚKIB a pro plán implementace zbývajících opatření, která musí být zavedena nejpozději do 1 roku od doručení rozhodnutí o registraci pro danou regulovanou službu.
Do přibližně 12 měsíců od registrace musí poskytovatele implementovat opatření zajišťující izolaci dat a bezpečnost mezi jednotlivými klienty v sdílené infrastruktuře. Požadavky zahrnují multi-tenant encryption, bezpečné key management, segregaci síťových prostředků a řízení přístupu na základě rolí (RBAC). Minimální standard je SOC 2 Type II nebo ISO/IEC 27001, doplnený o NIS2-specifické prvky jako hardening, vulnerability management a kontrola konfigurace.
Poskytovatel musí zavést systém včasného varování (early warning) a zajistit, aby byl incident, který ovlivňuje bezpečnost služby poskytované zákazníkům v EU, nahlášen NÚKIB nejpozději do 24 hodin od detekce. Zákazníci musí být notifikováni do 24 hodin, formální hlášení NÚKIB pak do 72 hodin. Finální zpráva se předkládá do jednoho měsíce. Pro cloudové služby to znamená třídění incidentů dle dopadů a vytvoření vyčleněného týmu pro NIS2-relevantní incidenty.
Poskytovatele musí jasně a srozumitelně zdokumentovat model sdílené odpovědnosti pro každou službu (co zodpovídá za bezpečnost poskytovatel, co za bezpečnost zákazník). Všechny smlouvy se zákazníky v EU musí obsahovat smluvní povinnost, aby byli zákazníci schopni plnit své vlastní povinnosti dle NIS2. Zákazník musí být informován nejpozději do 24 hodin od detekce incidentu ovlivňujícího jeho data; tato lhůta se nesmí odkládat na běžný incident management.
Poskytovatel musí zavést program řízení bezpečnosti svých subdodavatelů (zejména operátorů datových center, výrobců hardwaru a poskytovatelů telekomunikačních služeb). Musí ověřovat, že hardwarové komponenty nejsou kompromitovány; to zahrnuje autentičnost, fyzickou bezpečnost v Supply Chain a kontrolu firmware. Dokumentace by měla obsahovat seznam kritických subdodavatelů, jejich lokace a audity jejich bezpečnostních praktik nejméně jedenkrát ročně.
Jste odpovědní za implementaci a ověření bezpečnostních opatření, i když je zajišťuje subdodavatel. Model sdílené odpovědnosti není vylučující – vy zůstáváte v kontaktu s NÚKIB a jste odpovědní za to, aby vaši subdodavatelé splňovali NIS2 standardy. Musíte vyžadovat bezpečnostní audit a SLA od svých subdodavatelů, zejména operátorů datových center a výrobců hardwaru.
Dle zákona č. 264/2025 Sb. musíte implementovat technická a organizační opatření nejpozději do 1 roku od doručení rozhodnutí o registraci pro danou službu. Subjekty v působnosti zákona od 1. 11. 2025 se měly zaregistrovat do 31. prosince 2025, nové subjekty se registrují průběžně do 60 dnů od naplnění kritérií. NÚKIB může požadovat urychlené časové plány v případě kritické infrastruktury nebo vysokého rizika.
Poskytovatelé zařazení do Přílohy I jako podstatné subjekty čelí pokutám až 10 milionů EUR nebo 2 % ročního obratu (podle toho, která částka je vyšší) za porušení hlavních povinností, včetně neregistrace, nesplnění notifikačních lhůt nebo nedostatečné bezpečnosti. Porušení vedení evidence incidentů nebo nedostatečného dohledu nad subdodavateli může být postihnuto pokutou až 7 milionů EUR nebo 1,4 % obratu.